Bußgeld könnte drohenBericht: AfD dokumentierte offenbar Tausende Spenderdaten über Jahre
Die geleakten AfD-Mails liefern bisher überschaubaren politischen Sprengstoff. Anders sieht es beim Thema Datenschutz aus. Hier könnte der Partei ernsthafter Ärger ins Haus stehen. Einem Bericht zufolge speicherte sie zahlreiche persönliche Daten ohne Anlass über Jahre – bis sie veröffentlicht wurden.
Die rund 420.000 geleakten E-Mails der AfD können der Partei neben politischen Fragen auch rechtliche Konsequenzen bescheren. Denn, wie der „Tagesspiegel“ recherchiert hat, befinden sich in dem 280 Gigabyte umfassenden Datensatz zahlreiche Informationen, die dort eigentlich nicht aufzufinden sein dürften: umfangreiche Angaben zu Spenden und Spendern.
Aus den E-Mails und den knapp angehängten 50.000 Dokumenten gehe demnach hervor, dass sich die Partei immer automatisch informieren ließ, sobald eine Spende via Paypal einging und von wem sie stammte. Zudem sind zahlreiche Kontoauszüge per Mail versandt worden, in denen sich Angaben zu weitere Spenderdaten, aber auch zu Beiträgen von Parteimitgliedern befinden – oft mit Adressdaten versehen.
Zusammengenommen ergeben die Daten laut „Tagesspiegel“ folgendes Bild: Zwischen 2014 und 2025 sind mehr als 12.000 Spenden bei der Partei eingegangen. Die Beträge stellen zumeist Kleinspenden dar und liegen zwischen 2 und 150 Euro. Der Großteil der Spenden ging in den Jahren 2017 und 2018 ein. Zieht man Mehrfachspender ab – das lassen die erfassten Daten zu – dann bleiben etwa 8700 Personen zurück. Und von ihnen sind umfangreiche Daten in den E-Mails zu finden: Name, Beiträge, Bankdaten, E-Mail-Adresse und Wohnanschriften.
Spendern droht Reputationsschaden
All diese Daten sind durch das Leak einsehbar. Die Folgen für die Spender könnten schwerwiegend sein. Denn die Daten könnten zu Anfeindungen oder Hackingversuchen führen, schreibt der „Tagesspiegel“. Anzeigen könnten zu Reputationsschäden bei Arbeitgebern führen, da es sich bei der AfD eben nicht um eine Partei wie jede andere handelt. Sie ist vom Verfassungsschutz in Teilen als gesichert rechtsextremistisch eingestuft.
Dabei hätte die AfD die Spenderdaten nach geltender Rechtslage womöglich gar nicht vorhalten dürfen. Im Parteiengesetz heiße es dem Bericht zufolge zwar, dass Parteispenden transparent zu dokumentieren und anonyme Zuwendungen über 500 Euro generell verboten sind. Aber Name und Anschrift müssen nur im Rechenschaftsbericht erscheinen, wenn die Spendensumme innerhalb eines Jahres höher als 10.000 Euro liegt. Für alle anderen Spenden, sofern diese nicht unmittelbar an Landes- oder Gebietsverbände getätigt werden, müssen derlei Daten gelöscht werden.
„Es handelt sich um einen sehr schwerwiegenden Vorfall“, sagte Martin Schirmbacher, Partner und Fachanwalt für IT-Recht bei der Berliner Kanzlei Härting Rechtsanwälte, dementsprechend dem „Tagesspiegel“. Im Datenschutzrecht gelte das Verbotsprinzip, erklärte er: „Personenbezogene Daten dürfen nur so lange verarbeitet werden, wie eine Rechtsgrundlage besteht.“
Die Berliner Datenschutzbeauftragte Meike Kamp bestätigte dem „Tagesspiegel“, dass der Fall der Behörde bekannt sei. „Der AfD-Bundesverband hat uns am 20. Oktober 2026 um 18:59 Uhr einen Datenschutzvorfall gemeldet“, sagte ein Sprecher. Es würde nun geprüft, ob „die Voraussetzungen für eine ordnungsgemäße Meldung und die gegebenenfalls erforderliche Benachrichtigung der betroffenen Personen erfüllt sind“. Dazu gehöre auch, inwieweit die Partei technisch wie organisatorisch genügend getan habe, um einen solchen Vorfall zu verhindern, heißt es weiter. Die Datenschutzgrundverordnung (DSGVO) erwartet nämlich, dass Unternehmen, Behörden oder Parteien gerade bei sensiblen Daten ein besonders hohes Schutzniveau herstellen.
Wann wurde die AfD nach dem Leak aktiv?
Die Hackergruppe erklärte, sie sei über eine technisch veraltete Website ins System der Partei gelangt, konnte sich dort weitere Rechte aneignen und so letztlich an die Postfächer gelangen und diese kopieren. Nach dem Hack war die AfD verpflichtet, das Abfließen der Daten der zuständigen Datenaufsicht zu melden – und das wohl binnen drei Tagen. Aber nicht nur das. Auch betroffene Personen müssten „unverzüglich“ informiert werden, heißt es im Gesetzestext. Ob das umfänglich passiert ist, ist unklar.
Die Partei wurde nach dem Bekanntwerden des Leaks aktiv und meldete diesen Mitte Oktober. Allerdings könnte sie bereits im September von dem Datenklau gewusst haben. Aus Ermittlungskreisen heiße es laut „Tagesspiegel“, bisher würden die Spender nur sehr schleppend durch die Partei informiert. Auf Anfrage der Zeitung schweigt die AfD bisher.
Sollte sich der Verdacht bestätigen, kann es teuer werden. In der DSGVO gibt es zwei mögliche Bußgelder. In der Regel können bis zu 10 Millionen Euro fällig werden – oder zwei Prozent des Jahresumsatzes, sollte dieser höher sein. Bei gravierenden Pflichtverstößen drohen 20 Millionen Euro oder vier Prozent des Jahresumsatzes. Zudem könnten die Spender selbst gegen die Partei vorgehen und auf Schadensersatz klagen.
